Générateur de Politique MTA-STS - Fichier de Politique, Enregistrement DNS et TLS-RPT
Générateur de Politique MTA-STS
Faites en sorte que les serveurs de messagerie envoient le courrier à votre domaine via un TLS vérifié
Trois Fichiers, un Outil
Obtenez l’enregistrement TXT _mta-sts, le fichier de politique mta-sts.txt et, en option, l’enregistrement _smtp._tls qui demande aux expéditeurs de signaler les échecs TLS.
D’abord le Mode Testing
Commencez en mode testing pour que les problèmes soient signalés sans perdre de courrier, puis passez à enforce quand les rapports sont propres.
Vérifie votre Saisie
Les noms d’hôte MX, les jokers, les limites de max_age et le format de l’id sont validés selon la RFC 8461 au fil de la saisie.
Confidentiel
Tout est généré dans votre navigateur. Aucun nom de domaine n’est envoyé à un serveur.
Pourquoi MTA-STS Compte
Le courrier entre serveurs utilise un chiffrement opportuniste : si un serveur expéditeur ne parvient pas à négocier TLS, il retombe généralement sur du texte clair, et un attaquant sur le réseau peut forcer ce repli ou présenter un faux certificat. MTA-STS permet à votre domaine de publier une politique qui indique quels serveurs de messagerie sont valides, qu'ils doivent prendre en charge TLS avec un certificat correct, et pendant combien de temps les expéditeurs doivent s'en souvenir.
Elle comporte deux parties. Un enregistrement DNS TXT sur _mta-sts.votredomaine.com annonce l'existence d'une politique et porte un id que vous changez à chaque modification. La politique elle-même est un petit fichier texte servi en HTTPS à l'adresse https://mta-sts.votredomaine.com/.well-known/mta-sts.txt : ce nom d'hôte doit donc avoir un certificat valide. TLS-RPT est un enregistrement distinct où les expéditeurs peuvent signaler des problèmes de remise, ce qui permet de savoir si le mode enforce est sûr.
Points Clés
- Conforme aux RFC : Le format de la politique, les limites et les exemples viennent de la RFC 8461 (MTA-STS) et de la RFC 8460 (TLS-RPT).
- Changez l’id avec la politique : Les expéditeurs mettent la politique en cache et ne la redemandent que lorsque l’id change dans le DNS.
- Outils liés : Voyez aussi le Générateur d'Enregistrement SPF, le Générateur d'Enregistrement DMARC et le générateur d’enregistrements DKIM pour le reste de la sécurité de votre messagerie.